如何在High Sierra恢复模式或远程查看tracev3系统日志？

我之前折腾High Sierra日志系统时也碰到过一模一样的问题，给你梳理下具体的解决思路和操作步骤：

恢复模式下log collect报错的解决方案 #

首先得明确：恢复模式是个极简的应急环境，负责生成LiveData的日志后台进程根本没启动，所以执行log collect肯定会报failed to collect LiveData: No such file or directory的错——它找不到实时日志的数据源嘛。

正确的做法是挂载你的系统盘，直接读取已归档的日志文件：

1. 在恢复模式里打开「实用工具」→「终端」
2. 先列出所有磁盘分区，找到你的系统盘：

   diskutil list
   

   通常系统盘是/dev/disk1s1（具体看输出里的APFS Volume Macintosh HD之类的标识）
3. 挂载系统盘到/Volumes目录：

   diskutil mount /dev/disk1s1
   

   成功后会提示挂载路径，比如/Volumes/Macintosh HD
4. 现在可以直接查看归档日志了，用log show指定归档目录：

   log show --archive "/Volumes/Macintosh HD/private/var/db/diagnostics" --last 1h
   

   这里--last 1h是查看最近1小时的日志，你可以换成自己需要的时间范围，比如--last 30m或者--start "2024-05-01 10:00:00"

正常模式下log show --file指定tracev3文件报错的解决方案 #

你碰到的这个问题是因为High Sierra的.tracev3文件不是独立的日志文件——它们是日志归档集合的一部分，依赖归档目录里的索引文件才能被正确解析。单独指定某个.tracev3文件的话，log命令找不到对应的索引，就会报The specified URL did not refer to a valid log archive。

正确的使用方式有两种：

1. 指定归档目录+相对路径：
   比如你要查看Persist/00000000000000eb.tracev3，得先指定整个归档目录，再用--file指定相对路径：

   log show --archive /private/var/db/diagnostics --file Persist/00000000000000eb.tracev3
   

2. 先生成完整的日志归档文件：
   如果你需要单独导出或查看某段时间的日志，先收集成一个独立的归档包：

   log collect --output my_log_archive.logarchive --last 2h
   

   然后直接用log show打开这个归档包：

   log show --archive my_log_archive.logarchive
   

   这种方式更灵活，还能把归档文件拷贝到其他地方查看。

远程查看系统日志的方法 #

如果要远程查看High Sierra的日志，分两种场景：

• 远程Mac正常运行：直接用SSH登录到目标Mac，然后执行正常模式下的log命令就行，比如：

  ssh your_username@remote_mac_ip 'log show --last 1h'
  

  要是想实时监控日志，用log stream：

  ssh your_username@remote_mac_ip 'log stream --predicate "process == \"Finder\""'
  

  这里的--predicate可以过滤你关注的进程或日志类型。
• 远程Mac无法正常启动（需要进入恢复模式）：如果目标Mac支持远程恢复（开启了「允许远程管理」或者「FileVault」），你可以通过另一台Mac打开「启动转换助理」→「从另一台Mac恢复」，连接后进入远程恢复模式，然后按照前面恢复模式的步骤挂载系统盘查看日志。

内容的提问来源于stack exchange，提问作者Benjamin Dobell